顯示具有 風險 標籤的文章。 顯示所有文章
顯示具有 風險 標籤的文章。 顯示所有文章

2025年6月3日 星期二

可用性工程應用在醫療器材大哉問—術語篇

參考文獻:IEC 62366-1:2020, Ed. 1.1, 可用性工程應用在醫療器材

© All Rights reserved. 版權聲明

辭彙定義

3.1 非正常使用 abnormal use
有意識地、蓄意的動作、或蓄意省略某個動作,其行為悖離或違犯正常使用,且超出製造商安排【使用者介面】風險管制的合理手段之任何逾越。
示例1:不計後果地使用、或毀壞、或蓄意略過安全資訊,即屬於此類動作。
註1:參見4.1.3。
註2:預期的但不是非正常使用的錯誤舉措視為使用錯誤的一種類型。
註3:「非正常使用」未免除製造商考慮非使用者介面有關的風險控制手段。
註4:圖1表示使用類型之間的關係。

圖1 使用類型之間的關係

3.2隨附文件 accompanying documentation
隨同醫療器材的材料,包含下列資訊供使用者或當責者:醫療器材的安裝、使用、維護、除役和棄置,尤其是安全使用。
註1:隨附文件可包括使用說明、技術描述、安裝手冊及便捷參考指引等。
註2:隨附文件並不一定是書面或印刷的文件,可以納入聽覺、視覺、觸覺和多媒體形式的材料。
註3:醫療器材即便無【使用說明】仍可【安全使用】,某些擁有管轄權的權責機構遂豁免實體或電子式的【使用說明】。
註4:【安全】是免除了不可接受的風險之狀態。【不可接受的風險】可能由使用錯誤引起,而【使用錯誤】可能導致曝露於直接的外部危險、或是喪失臨床性能、或是性能退化。
[來源:ISO 14971, 3.1,有修改]

3.3正確使用 correct use
正常使用,而沒有【使用錯誤】。
註1:只有在偏離【使用說明】導致不同于製造商預期或使用者期望的醫療器材回應時,才將偏離使用說明視為使用錯誤。
註2:圖1表示使用類型之間的關係。

3.4 有效性/效果 effectiveness
使用者實現特定目標的準確性和完整性。
註:此處不同於《臨床有效性》的概念。
[來源:ISO 9241-11,定義3.2,有修改,添註]

3.5 效率 efficiency
與有效性(效果)相關的資源消耗。
[來源:ISO 9241-11,3.3,有修改,此處引入3.4有效性(效果)替代原句之片語。]
參見圖1 使用類型之間的關係

3.6預期使用壽命 expected service life
由製造商給定的期望醫療器材保持【使用安全】(即保持基本安全和基本性能)的時間。
註:在預期使用服務期(expected service life)內,維護可能是必要的。
[來源:IEC 60601-1,3.28,有修改,以《醫療器材》替代原句之《電氣醫療設備與電氣醫療系統》。]

3.7 形成性評估 formative evaluation
為探究使用者介面設計的強項、弱項及非預期的【使用錯誤】,而實施的使用者介面評估。
註:通常形成性評估在整個設計開發過程迭代進行,但須在總結性評估之前,以在必要時指導使用者介面設計。

3.8 與危險有關的使用情境 hazard-related use scenario
可能導致危險情況或傷害的使用情境。
註1:與危險有關的使用情境通常從潛在的使用錯誤聯結而浮現。
註2:與危險有關的使用情境無關乎醫療器材是否失效,除非醫療器材的失效由使用錯誤引起。

3.9 正常使用 normal use
按照【使用說明】,或在沒有使用說明的情況下,按照此類醫療器材普遍接受的實務應用之操作(包括由任何使用者進行的日常檢查和調整)與待機。
註1:正常使用不宜與【預期使用】混淆。儘管二者概念上均包括依循製造商的預期使用,預期使用關注醫學目的,而正常使用則不僅關注醫學目的,也關注維護、運輸等。
註2:【使用錯誤】能在【正常使用】中發生。
註3:對於沒有使用說明就能安全使用的醫療器材,某些擁有管轄權的權責機構遂豁免【使用說明】。
註4:圖1表示使用類型之間的關係。
[來源:IEC 60601-1,定義3.71,有修改,添加註2, 3, 4,將【操作者】改為【使用者】,另添加補充說明句子。]

3.10 患者 patient
正在接受醫療、外科手術或牙科診治程序的生物(人)。
註:患者得為使用者。
[來源:IEC 60601-1,3.76,有修改,定義中的【或動物】剔除,【操作者】改為【使用者】。]

3.11 基本操作功能(主要操作功能)primary operating function
涉及醫療器材安全有關的使用者交互作用功能。
註1:通常基本操作功能與系列的任務交互作用,此等任務能拆解成系列的使用者交互作用。
註2:【安全】概念包括對患者造成不可接受風險的性能喪失或遞減,包括妨礙使用者有效地使用醫療器材以實現其預期醫學目的的【使用錯誤】。在IEC 60601-1稱為【基本性能】。

3.12 負責組織 responsible organization
對醫療器材或組合型醫療器材的使用和維護承擔當責的實體。
註1:當責的實體可能是:例如:醫院、個別臨床醫生、或平常人。在居家環境使用時,【患者】、【使用者】和【負責組織】可以是同一個人。
註2:《使用》包括教育和訓練。
[來源:IEC 60601-1:2005,定義3.101,有修改,【電氣醫療設備】或【電氣醫療系統】更換為【醫療器材或組合型醫療器材】,【操作者】改為【使用者】。]

3.13 總結性評估 summative evaluation
在使用者介面開發收尾階段時,為獲得能夠安全地使用【使用者介面】的客觀證據,而進行的【使用者介面】評估。
註:總結性評估與確證【使用者介面】的安全使用有關。

3.14 任務 task
與醫療器材的一個或多個【使用者交互作用】以實現某個預期結果。
註1:一項任務描述宜包括使用者和醫療器材間安排的活動和操作步驟。
註2:任務不宜僅只根據醫療器材提供的功能和特性做成描述。

3.15 UOUP
未知來源使用者介面 user interface of unknown provenance
先前開發的醫療器材【使用者介面】或部分【使用者介面】,依照本標準的可用性工程過程之足夠的記錄無從獲得。

3.16 可用性 usability
有助於使用且因此在預期使用環境中建立有效性、效率和使用者滿意的【使用者介面】特徵。
註:可用性的所有面向(包括:有效性、效率和使用者滿意)能增強或減弱安全。

3.17 可用性工程 usability engineering
人因工程 human factors engineering
將關於人類行為、能力、侷限性和其他特徵的知識應用於醫療器材(包括軟體)、系統和任務的設計,以獲得足夠的【可用性】。
註:獲得足夠的【可用性】能導致可接受之關於使用時的風險。

3.18 可用性工程檔案 usability engineering file
由可用性工程過程產生的一組記錄和其他文件。

3.19 可用性測試 usability test
在某個明確給出的預期【使用環境】中與預期使用者一起探究或評估【使用者介面】的方法。

3.20 使用環境 use environment
使用者與醫療器材交互作用所處的實際狀況和背景場合。
註:使用狀況或【使用環境】屬性可包括:衛生要求、使用頻次、位置、照明、噪音、溫度、移動性,以及國際化程度。社會屬性如:團隊對比個體、混亂對比平靜、緊張程度和輪班期間長度,可能也會起作用。

3.21 使用錯誤 use error
使用醫療器材時的使用者行為或缺乏使用者行為,導致不同於製造商預期或使用者期望的結果。
註1:【使用錯誤】包括使用者無能力完成某項任務;
註2:【使用錯誤】可能由使用者、使用者介面、任務或【使用環境】的特徵之間的不匹配造成。
註3:使用者或許意識到或未意識到已經發生【使用錯誤】。
註4:患者非預期的生理反應本身不視為使用錯誤。
註5:造成非預期結果的醫療器材故障不視為【使用錯誤】。
註6:圖1表示使用類型之間的關係。

3.22 使用情境 use scenario
在特定的【使用環境】中由特定【使用者】執行的特定順序【任務】,從而引出醫療器材的任何回應。

3.23 使用規格 use specification
應用規格 application specification
匯集與醫療器材使用前後環節直接相關的重要特徵。
註1:預期的醫學適應症、患者群體、與醫療器材交互作用的身體部位或組織類型、使用者剖繪、使用環境和操作原理是【使用規格】的典型要素。
註2:一些具有管轄權的機構將醫療器材【使用規格】的匯集稱為《預期使用的陳述》。
註3:【使用規格】是決定ISO 14971【預期使用】的輸入。

3.24 使用者 user
與醫療器材交互作用(即操作或撥弄醫療器材)的人。
註1:一個醫療器材可以有一個以上的【使用者】。
註2:通常【使用者】包括:臨床醫生、患者、清潔人員、維護和服務人員。

3.25 使用者組 user group
根據可能影響其與醫療器材交互作用的因素,將之與其他使用者區分開的使用者子集。
註:【使用者組】的屬性可以包括:年齡、文化、專業知識。

3.26 使用者介面 user interface
使用者和醫療器材交互作用所憑藉的工具。
註1:將【隨附文件】視為醫療器材及其【使用者介面】的一部分。
註2:【使用者介面】包括使用者用來與醫療器材交互作用的所有要素,包括:醫療器材的實物面向,以及視覺、聽覺、觸覺顯示器,且不僅限於軟體介面。
註3:從可用性標準來看,數個醫療器材構成一個系統時,可當做一個單獨的【使用者介面】。

3.27 使用者介面評估 user interface evaluation
製造商用來探究或評鑑使用者與【使用者介面】交互作用的過程。
註1:【使用者介面評估】可包括下列一項或多項技能,其中包括:可用性測試、專家審查、啟發式分析、設計稽核或認知走查。
註2:【使用者介面評估】在整個設計開發過程迭代地頻繁進行(即【形成性評估】)。
註3:【使用者介面評估】是驗證和確證整個醫療器材設計所涉及的活動之一個部分(即【總結性評估】)

3.28 使用者介面規格 user interface specification
聚集全面和前瞻性地描述醫療器材【使用者介面】的規格

3.29 使用者剖繪 user profile
匯集使用者組的精神上、身體上和人口學特徵,如:知識、技能和能力,此等事項可能對設計決策承擔某種效應。

(本篇竟)

2024年9月15日 星期日

ISO 31073 風險管理—詞彙

ISO 31073:2022 risk management - vocabulary  風險管理詞彙

前言:參見標準原文
概述

該文件提供基本詞彙,供組織和職能部門之間以及不同應用和類型的風險管理概念和用語的共同理解。

適用於組織面臨風險時的風險管理用語之前後環節,應優先考慮該文件中提供的定義。

風險管理係視應用而定。因此,某些情況下,可能需要增補該文件的詞彙。當某份標準使用與風險管理相關用語時,特加聲明,不得曲解、歪曲或錯誤使用渠等在標準前後環節的係稱意義。適用時,可能需將該文件中用語替換為該學門限定的用語。

除了管理對實現其目標出現的威脅之外,組織還需更多地應用風險管理流程並開發一種整合式的風險管理方式,以改進對潛在機會的管理。因此,該文件中的用語和定義在概念和應用上比其它文件中包含的用語和定義更廣泛。由於組織愈來愈多地採用更廣泛的風險管理方式,因此該文件涵蓋所有應用和產業界。

此份詞彙文件代表了 ISO/TC 262對組織面臨的風險管理之現今關注內容。

該文件鼓勵組織採行相互和一致的理解與協調一致的方式,描述風險管理相關的活動,處理面臨風險管理的流程和架構,使用統一的風險管理用語。

該文件旨在供以下人員使用:

  • 從事風險管理的人員;
  • 參與 ISO IEC 活動的人員;
  • 與風險管理相關的國家或特定產業的標準、指引、程序和實務規範的制定者。

有關風險管理的原則和指引,請參閱 ISO 310002018CNS 31000)。

© All Rights reserved. 版權聲明

適用範圍:

制訂組織面對風險管理的共通用語。

1:此標準的術語多數沿用ISO Guide 73的術語及定義,部份採用ISO 31010的術語及定義。建議參照閱讀各術語引用之標準,有利於理解該術語及定義。

2:此標準的某幾項術語係引入ISO/IEC 17000系列標準及ISO 9000的術語及定義,配合風險管理文句而略做修訂,故原標準未寫出參照標準。

3:此標準雖沿用ISO Guide 73的大部份內容,但未寫係替代該指引,因此可知該指引仍然有效。

4:此標準整合多個標準中有關風險管理的術語及定義,由ISOIEC聯合發布,宜於產業各界多加參考運用。

5可參見ISO官方網站提供之ISO 31073:2022英文及法文版。

 

引用標準:

用語及定義:

參見ISOIEC維護的線上標準化用語資料庫。

3.1 Terms related to risk 有關風險之用語

3.1.1 risk 風險

effect of uncertainty on objectives

不確定項(3.1.3)對目標(3.1.2)的影響。

1:該影響係偏離原先預期,既可以是正向,亦可為負向,或兼而有之;可帶來、創造或造成機會(3.3.23)及威脅(3.3.13)

2:目標可有不同的考量與類別,且可以應用於不同的層級.

3:風險通常以風險源 (3.3.10)、潛在事件 (3.3.11)、其後果 (3.3.18) 和可能性 (3.3.16) 表示之。

3.1.2 objective 目標

擬企及之結果。

1:某個目標可以是策略目標、戰術目標或營運目標。

2:目標可以直接相關不同專業領域,例:財務、健康與安全、環境目的;亦可應用在不同層面,例:策略、全組織、專案、產品及過程。

3:目標可以其它方式表示之,例:預期結果、目的、營運準則,或係管理系統目標、或使用其它意義類似之用語表示之,例:鵠的、目的或標的。

3.1.3 uncertainty 不確定項

供理解或知曉的相關資訊不足之情況(或僅其中某部分)。

1:在某些情況下,不確定項可能與組織(3.3.7)的前後環節及其目標 (3.1.2) 有關。

2: 不確定項是風險(3.1.1)的根源,即與目標直接相關的任何類型的「資訊不足」;反過來看,目標又與所有直接相關的利害相關者 (3.3.2) 的需求和期望有關。

3.2 Terms related to risk management 有關風險管理事務之用語

3.2.1 risk management風險管理事務

指導與控制組織(3.3.7)有關風險(3.1.1)經過協調的活動。

3.2.2 risk management policy 風險管理政策

組織(3.3.7)有關風險管理事務(3.2.1)的整體意圖與方向之聲明。

[參照來源: ISO Guide 73:2009, 2.1.2]

3.2.3 risk management plan 風險管理計畫

在風險管理架構內,明訂應用於管理風險(3.1.1)的途徑、管理要素及各項資源的方案。

1:典型的管理要素包括程序、實務、責任分派、活動之順序與時程。

2:風險管理計畫可適用於某特別產品、過程及專案,亦可於組織(3.3.7)的一部分或全部。

[參照來源: ISO Guide 73:2009, 2.1.3]

3.3 Terms related to the risk management process 有關風險管理過程用語

3.3.1 risk management process 風險管理過程

系統化地管理政策、程序及實務之應用於溝通、諮商、建立前後環節,並鑑別、分析、評估、處理、監督(3.3.40)及審查風險(3.1.1)等活動。

[參照來源: ISO Guide 73:2009, 3.1]

3.3.2 interested party 利害相關者

可能影響、受到影響,或自認受到決策或活動影響的個人或組織(3.3.7)

[參照來源: ISO 9000:2015, 3.2.3],

3.3.3 risk perception 風險感知

利害相關者(3.3.2) 關於風險 (3.1.1)之觀感。

1: 風險感知反映利害相關者的需求、議題、知識、信念及價值。

[參照來源: ISO Guide 73:2009, 3.2.1.2, 係經修改。 — “interested party” 替代 “stakeholder,及“risk” 替代 “a risk]

3.3.4 external context 外部前後環節

組織(3.3.7)尋求達成其目標 (3.1.2)的外部環境。

1:外部前後環節可包括下列事項:

  • 無論是國際、國家、區域抑或地方上的文化、社會、政治、法治、規制、財務、技術、經濟、本自天成或競爭性環境。
  • 對組織目標具有衝擊之主要推動者與趨勢。
  • 與外部利害相關者 (3.3.2) 的關係,及認知事項與價值觀。

[參照來源: ISO Guide 73:2009, 3.3.1.1, 係經修改。 — “interested parties” 替代 “stakeholders.]

3.3.5 internal context 內部前後環節

組織(3.3.7)尋求達成其目標 (3.1.2)的內部環境。

1: 內部前後環節可包括下列事項:

  • 治理、組織結構、角色及當責。
  • 政策、目標,以及能達成之的策略。
  • 資訊系統、資訊流及做出決策過程(正式與非正式皆可)。
  • 與內部利害相關者(3.3.2)的關係,及認知事項與價值觀。
  • 組織的文化。
  • 組織所採用的標準、指導綱要及模範。
  • 合約關係之型式與內容。

[參照來源: ISO Guide 73:2009, 3.3.1.2, 係經修改。 — “interested parties” 替代 “stakeholders.]

3.3.6 risk criteria 風險準則

評估風險(3.1.1)之顯著性時所用的參照術語。

1:風險準則係基於組織目標(3.1.2)、外部前後環節(3.3.4)及內部前後環節(3.3.5)

2:風險準則可衍生自標準、法律、政策及其它要求事項。

[參照來源: ISO Guide 73:2009, 3.3.1.3, 係經修改。 — “risk” 替代 “a risk]

3.3.7 organization 組織

各具其本身職能及其相應責任、職權及關係以企及其目標(3.1.2)之人或一群人。

1:組織的概念包括但不限於:自營商、公司、集團、行號、企業、權責機構、合夥企業、協會、慈善機構或學術機構,或上列之部分或組合,不論是否為依法設立的公司、公營或民營。

3.3.8 risk assessment 風險評鑑

風險鑑別(3.3.9)、風險分析(3.3.15)及風險評估(3.3.25)的整個過程。

[參照來源: ISO Guide 73:2009, 3.4.1]

3.3.9 risk identification 風險鑑別

發現、認知及描述風險(3.1.1)之過程。

1:風險鑑別包括鑑別風險來源(3.3.10)、事件 (3.3.11)、其原因及其潛在後果(3.3.18)

2:風險鑑別可涉及歷史資料、理論分析、知情意見及專家意見、以及利害相關者(3.3.2)的需求。

[參照來源: ISO Guide 73:2009, 3.5.1, 係經修改。 — “interested party” 替代 “stakeholder.]

3.3.10 risk source 風險來源

單種或多種合併要素可能潛在地導致風險(3.1.1)

3.3.11 event 事件

所發生或變動的一組特別情況。

1:事件可發生一或多次,可能有數個原因及若干後果(3.3.18)

2:事件可以是預期而未發生的某些事情,或未預期而發生的某些事情。

3:事件可能是風險來源(3.3.10)

3.3.12 hazard 危害/危險

潛在傷害之來源

1:害可以是某個風險來源(3.3.10)

[參照來源: ISO Guide 73:2009, 3.5.1.4]

3.3.13 threat 威脅

危險、傷害或其它非期望結果的潛在來源。

1:某個威脅係可能造成損耗的某種負向情況,且某人僅有相當小的程度控制之。

2:一方的威脅可能對另一方而言係機會(3.3.23)

3.3.14 risk owner 風險持有者

具有管理風險(3.1.1)的當責與職權之人員或實體。

[參照來源:ISO Guide 73:2009, 3.5.1.5,係經修改。“risk風險” 替代“a risk某風險”。]

3.3.15 risk analysis 風險分析

理解風險(3.1.1)的本質並決定風險等級(3.3.22)之過程。

1:風險分析提供風險評估(3.3.25)與風險處理(3.3.32)的決策基礎。

[參照來源:ISO Guide 73:2009,3.6.1, 係經修改。註2:係經註銷。]

3.3.16 likelihood 可能性

某事情偶然發生

1:于風險管理用語,「可能性」一詞係稱某事情偶然發生,不論其是否為既定的、量測的、客觀地或主觀地決定的、定性地或定量地,且使用一般用語或數學方式描述之。例:概率(3.3.19)或頻率(3.3.20)

2: 英語單詞 「likelihood」 在某些語言中沒有直接對應的同等字詞;通常使用單詞“probability概率”替代之。然而,在英語中,“probability” 通常被狹義地以數學用語闡釋。因此,在風險管理用語中,宜使用“可能性”使其得以與英語之外的許多其它語言中的單詞“概率”具有同樣更廣義的解釋。

3.3.17 Exposure 曝露

組織(3.3.7)/或利害相關者(3.3.2)涉入某事件(3.3.11)之程度。

[參照來源:ISO Guide 73:2009, 3.6.1.2, 係經修改。— “interested party” 替代 “stakeholder”.]

3.3.18 Consequence 後果

事件(3.3.11)之產出結果且影響目標(3.1.2)

1 後果可能對目標有正向或負向、直接或間接效應。

2 後果可以定性或定量方式表達之。

3 何後果均可經由串聯及累加效應而漸昇漸高。

3.3.19 Probability概率

偶然發生之量度方式,以01間之數值呈現,0為不可能,1為絕對確定。

1  3.3.16,  2

[參照來源:IEC 31010:2019, 3.3係經修改。]

3.3.20 frequency 頻率

經界定的時間單位內事件(3.3.11) 或結果數

1:頻率可應用於過往事件或潛在的未來事件, 亦得為可能性(3.3.16)probability概率 (3.3.19)的度量。.

[參照來源:ISO Guide 73:2009, 3.6.1.5]

3.3.21 Vulnerability 脆弱性

某事情內含性質從而對風險來源 (3.3.10)的敏感性,可能導致某事件(3.3.11) 及其後果 (3.3.18)

[參照來源:ISO Guide 73:2009, 3.6.1.6]

3.3.22 level of risk 風險等級

單一或多風險 (3.1.1合併之值,將後果 (3.3.18)結合可能性 (3.3.16)表達之。

[參照來源:ISO Guide 73:2009, 3.6.1.8]

3.3.23 opportunity

預期有利於多個目標(3.1.2)的各種狀況組合。

1 某個機會係可能獲益的某種正向情況,且某人得有相當程度控制之。

2 一方的機會可能對另一而言係威脅(3.3.13)

3 擷取或不擷取機會均為風險(3.1.1)來源。.

[參照來源:IEC 31010:2019, 3.2]

3.3.24 risk driver 風險驅動子

主要影響風險 (3.1.1)的因素。

[參照來源:IEC 31010:2019, 3.4]

3.3.25 risk evaluation 風險評估

將風險分析 (3.3.15)之結果與風險準則(3.3.6)相比較之過程,以決定風險 (3.1.1)是否可接受或予以容忍。

1 風險評估協助有關風險處理(3.3.32)之決策。.

[參照來源:ISO Guide 73:2009, 3.7.1, 係經修改。 — “and/or its magnitude” 剔除。]

3.3.26 risk attitude 風險姿態

組織(3.3.7) 評鑑並勢須追逐、保留、承擔或背離風險(3.1.1)的方式

[參照來源:ISO Guide 73:2009, 3.7.1.1]

3.3.27 risk appetite風險容納量

組織(3.3.7)願意追逐或保留的風險(3.1.1) 之數量與型式。

[參照來源:ISO Guide 73:2009, 3.7.1.2]

3.3.28 risk tolerance風險裕度

組織(3.3.7) 或利害相關者 (3.3.2) 之準備程度,為達到目標 (3.1.2)而承擔的剩餘風險 (3.3.38) 

1 風險裕度可能受到法令或規章要求事項之影響。

[參照來源:ISO Guide 73:2009, 3.7.1.3, 係經修改。 — “interested party” 替代 “stakeholder”, “residual risk” 替代 “risk after risk treatment”.]

3.3.29 risk aversion 風險迴避

避開風險 (3.1.1)之姿態。

[參照來源:ISO Guide 73:2009, 3.7.1.4]

3.3.30 risk aggregation 風險匯整

合併若干風險 (3.1.1) 為一項風險,以示對整體風險較完整的瞭解。

[參照來源:ISO Guide 73:2009, 3.7.1.5]

3.3.31 risk acceptance 風險接受

知情決定以接納某特定風險 (3.1.1)

1 風險接受可在未經風險處理(3.3.32) 或風險處理過程之間發生。

2 既經接受的風險須受到監督 (3.3.40) 及審查 (3.3.41).

[參照來源:ISO Guide 73:2009, 3.7.1.6]

3.3.32 risk treatment 風險處理

修改風險之過程(3.1.1)

1:風險處理可涉及下列事項::

  • 做出決策不啟動或不再繼續可能引起風險的活動以避免風險。
  • 承擔或增加風險以追逐機會(3.3.23)
  • 移除風險來源(3.3.10)
  • 改變可能性 (3.3.16)
  • 改變後果(3.3.18);
  • 與另一機構或多機構分享風險 [包括訂定合約或風險財務化(3.3.36)]
  • 經知情決策而保留風險。

2 風險處理到負向後果時亦可稱之為「紓緩風險」、「排解風險」、「降低風險」。

3 風險處理可能創造新的風險,或修改既有風險。

[參照來源:ISO Guide 73:2009, 3.8.1]

3.3.33 risk control 風險控制

維持及/或修改風險之措施 (3.1.1)

1 風險控制包括任何可修改風險之過程、政策、器材、實務或其它狀況及/或行動,從而維持及/或修改風險。

2:風險控制並不總是發揮預期或設想的修改效果。

3.3.34 risk avoidance 風險規避

知情決策而不涉入或取消某活動以免曝露至特定風險 (3.1.1)

1 風險規避可基於風險評估 (3.3.25) 結果及/或法令與規章義務。

[參照來源:ISO Guide 73:2009, 3.8.1.2]

3.3.35 risk sharing風險分擔

風險處理(3.3.32)的某種方式,涉及和其它單位協議分攤風險(3.1.1)

1:法令或規章要求可限制、禁止或迫令風險分擔。

2:風險分擔可經由保險或其它合約形式為之。

3:風險分攤範圍可能依賴于分擔管理的可靠性與明確性。

[參照來源:ISO Guide 73:2009, 3.8.1.3, 係經修改。 註4 剔除。]

3.3.36 risk financing 為風險籌措資金

風險處理(3.3.32)的某種方式,涉及一旦發生狀況時,達到基金條款的偶發事項管理,或修改財務後果(3.3.18)

[參照來源:ISO Guide 73:2009, 3.8.1.4]

3.3.37 risk retention 風險留置

接受特定風險 (3.1.1)的潛在收益或負擔損失。

1 風險留置包括接受剩餘風險 (3.3.38)

2  留置的風險等級 (3.3.22) 可能取決於風險標準 (3.3.6)。

[參照來源:ISO Guide 73:2009, 3.8.1.5]

3.3.38 residual risk 剩餘風險

風險處理 (3.3.32) 後遺留著的風險 (3.1.1)

1:剩餘風險可包含未鑑別的風險。

2:剩餘風險亦係稱為「留置風險」。

[參照來源:ISO Guide 73:2009, 3.8.1.6]

3.3.39 Resilience 恢復力

組織 (3.3.7)在複雜與變遷的環境中之調適容量。

[參照來源:ISO Guide 73:2009, 3.8.1.7]

3.3.40 Monitoring 監督

持續的查核、監察、重要事項觀察或勘定其狀態,旨在按照要求或期待之績效水準鑑別出變化。

1:監督可適用於風險管理架構、風險管理過程(3.3.1)、風險(3.1.1)、或風險控制(3.3.33)

[參照來源:ISO Guide 73:2009, 3.8.2.1, 係經修改。 註1“risk control” 替代 “control”]

3.3.41 Review 審查

為企及係稱事項的既定目標(3.1.2)所進行的活動,以決定前述事項之適合性、恰當性及有效性。

1:審查可適用於風險管理架構、風險管理過程(3.3.1)、風險(3.1.1)、或風險控制(3.3.33)

[參照來源:ISO Guide 73:2009, 3.8.2.2, 係經修改。 註1“risk control” 替代“control”]

3.3.42 risk reporting 風險做成報告

提供風險(3.1.1)及其管理的現今狀態之溝通形成,以通知特別的內部或外部利害相關者 (3.3.2)

[參照來源:ISO Guide 73:2009, 3.8.2.3, 係經修改。 — “interested party” 替代 “stakeholder”.]

3.3.43 risk management audit 風險管理稽核

系統的、獨立的及文件化的過程,為獲得證據與客觀地評估,以決定風險管理架構的範圍,或選取風險管理架構的某部份,是適切與有效果的。

[參照來源:ISO Guide 73:2009, 3.8.2.6] 

參考標準

[1]

ISO 31000:2018, Risk management — Guidelines,參見CNS 31000

[2]

ISO Guide 73:2009, Risk management — Vocabulary,參見CNS 14489

[3]

ISO/IEC Guide 51, Safety aspects — Guidelines for their inclusion in standards

[4]

IEC 31010:2019, Risk management — Risk assessment techniques,參見CNS 31010

詳細內容參見原資料內容 。

2024年6月2日 星期日

在管理系統使用ISO 31000指引

IWA 31:2020
風險管理—在管理系統使用ISO 31000指引

0. 介紹

使用基於 ISO 和 IEC 管理系統標準 (MSS) 的管理系統的各種類型和規模的組織數量正在穩步增長。新的 ISO 和 IEC 管理系統標準不斷地開發,以處理組織活動、產品或服務的特定面向。 ISO/IEC 指令第 1 部分指定 管理系統標準的高階架構 (HLS)。此通用高階架構為所有 ISO 和 IEC 管理系統標準制定了相同的核心文件、通用辭彙與核心定義。組織可以將不同的管理系統標準要求或建議整合到既有之管理系統中。管理系統標準的統一架構足以令用戶更容易建立整合的管理系統(IMS),而不是形成碎片化的管理系統結果。所有此類管理系統標準均採用基於風險管理的方式為概念、基於風險的方式或基於風險的思維(取決於相關管理系統中使用的辭彙),是為任一種管理系統的核心。此種做法的主要優點是相互關聯的系統的全面性應用。 ISO 31000: 2018 (第二版)可用於進一步開發或改進整合的管理系統,指導如何確定需要處理的風險,以確保管理系統得以實現預期結果、增強預期效果、預防或減少非預期影響,並實現持續改進。

ISO 31000 是風險管理的國際最佳實務,受到廣泛地接納、通用且開放式管理任何類型的風險。透過使用 ISO 31000 將風險管理整合到其多種管理系統中,可以為組織帶來甚多好處,無論是僅解決負面影響還是包含正面影響。 ISO 31000 中概述的風險管理目的是創造和保護價值。有助於改善風險負責人或過程負責人的決策,並增強流程的運作和組織的所有其他活動,包括策略和營運活動。如此可帶來更好的結果、更高的輸出品質、更低的錯誤成本以及管理法規責任。

根據 ISO 31000 整合式風險管理,透過支持目標的實現並使組織韌性更強能抵禦不利影響,從而創造和保護組織的價值。評鑑風險可以對其進行適當的處理,並為提高組織管理系統的有效性、實現改進的結果和防止負面結果奠定基礎。然而,將風險管理整合到管理系統中可能會帶來挑戰,宜經由遵循該文件的指引減少挑戰。

IWA 312020的未來發展可能側重於擴大適用性和改進準則內容,因應新浮現的風險和不斷變化的管理實務。隨着網路安全威脅等新型態威脅和挑戰的出現,該文件可能會更新,納入風險管理方面最佳實務和創新。

:此文係參考網路公開提供閱讀或擷取資料,未涵蓋該等資料全部事項,相關內容務須參閱各項資料、文獻最新版次。此處係閱讀隨筆,僅供個人學習,非供印刷或潛在意圖出版。引用時請予註明。

1. 範圍

提供在已實施一項或多項 ISO 和 IEC 管理系統標準 (MSS) 或已決定實施一項或多項納入 ISO 31000 的管理系統標準的組織整合與使用 ISO 31000 的指引,與管理系統標準的高階架構(HLS) 相關。

該文件未提供一般管理系統的實施指引。未規定管理系統標準要求。未提供 ISO 31000 的摘要;然而,如上所述,文件內容實際提供理解 ISO 31000 的背景說明。使用該文件並不能排除使用其他標準解決特定風險面向的需求。

(2.略)
(3.見文末)

4 「風險」在ISO 31000及其它標準中的使用情形

術語的應用應當在適用術語的背景下進行。對於組織的風險管理,ISO 31000的3.1節定義「風險」為《不確定性對目標的影響》。有些標準沒有提到目標,但內文經常指出,需要處理風險,以確保管理系統能夠實現預期成果。「目標」可以表示為《預期結果或結果》。

ISO 31000的風險管理架構和過程係是量身打造的,與組織及其目標相關的外部和內部前後環節相配合。此處包括有關各利益相關者的觀點。

在某些情況下使用不同的術語(例如:安全、職業健康和安全、醫療器材產業)。此種使用係對「風險」一詞的普遍實務理解,縮小ISO 31000的風險概念,因為後者側重於偏離預期的潛在負面衝擊。這種方式亦視為包括在ISO 31000:的3.1節更廣泛的風險定義。

5 ISO 31000 風險管理系統使用者指引

ISO 31000為所有類型的組織提供指引,無論組織類型和規模如何,係為組織中創造和保護價值的人員編寫,目的是管理風險、做出決策、制定目標和策略、實現目標以及提高績效。

風險管理八項原則乃創造和保護價值的基礎。皆為風險管理提供有效果和有效率特徵的指引,傳達價值,並解釋風險管理意圖和目的。ISO 31000提供一種通用途徑管理組織在其整個生命週期中所面臨的各種類型風險。

風險管理架構目的是協助組織將風險管理納入重要的活動和職能。風險管理的有效性將取決於將之納入組織的治理,包括做出決策。

ISO 31000中規定的風險管理過程須按照組織與其目標相關的外部和內部前後環節量身打造。加以調整,使之成為管理系統的一個組成部分,並整合在組織的結構、業務和流程內。

利用相關原則和架構指引,組織可以選擇針對整個生命週期中面臨的任何類型風險,量身打造風險管理過程於組織管理系統的應用。增加風險管理過程的步驟得以強化管理系統。此處前後環節需謹記雖然風險管理過程往往按順序呈現,但實際上是迭代運用。

只要有任何資訊或估量可以啟動或增加某一過程或活動,或組織的前後環節出現變異,便須運用風險管理。

此等資訊或估量可能存在某種程度的不確定性,可能影響目標實現。在ISO 31000的3.1節解釋並中一個效應就是偏離預期,可以是正向、負向或兩者兼而有之。因此,只要是與其過程和活動相關的新資訊或估量,組織便須重新審視風險識別。

圖1顯示ISO 31000指引與管理系統標準通用高階架構段落的迭加現象。首行引用高階架構段落,左側列表示ISO 31000架構段落。例如:從ISO 31000的5.2節關於領導力和高階架構關於領導力的條款的交叉點來看,灰色格子表明須有涉及風險管理的過程。 因此,此圖可以作為參考圖。有關段落連結的詳細資訊,請參見表A.1。

圖1:ISO 31000與高階架構和管理系統標準段落關聯性。


6 採用ISO 31000的整合式管理系統

風險管理的應用可以通過管理系統的過程方式完成之。ISO 31000架構宜與管理系統合併,方式是採用差異分析以包括ISO 31000架構組件。經由將風險管理納入過程方式,可以避免重複或衝突。為了切實有效地將ISO 31000架構及其過程納入其他管理系統標準,組織宜採納ISO 31000的八個原則。國際標準組織出版的《綜合使用管理系統標準手冊》可當作此項目的協助參考文件。關於綜合使用管理系統標準的詳細步驟,建議參閱該手冊。
附錄A提供關於組織如何能夠將風險管理納入其管理系統標準的指引。
附錄B是將ISO 31000納入多項管理系統的案例展示。

附錄A:ISO 31000對應高階管理架構於風險管理系統標準

表A.1 顯示ISO 31000節次對應高階管理架構於風險管理系統標準的最重要相關節次。配合顯示的對應節次,ISO 31000使用者可整合風險管理實務至組織的管理系統內。


附錄B:ISO 31000應用之案例說明多項管理系統


B.1 通則

本案例研究以ISO 31000和MSSS的HLS原則為基礎,闡明了一個跨多個學科的組織中風險管理的整體方法。本案例研究沒有提供任何指導,說明如何將ISO 31000集成到組織的管理系統中。它也不包括與每個引用的MSS相關的要求。

為本附件的目的,僅強調了某些條款/要求(被認為特別有效)的各個方面,以表明如何根據風險管理方法審查對組織品質管理系統(QMS)流程適用的要求。

:在本附件中使用了"利害關係人"一詞,因為它是該組織使用的術語,該組織自1997年以來一直採用ISO 9001。根據ISO 31000的3.3節"利益相關者"的定義,"利害關
係人"一詞可以作為替代。

B.2 組織描述與背景

為說明附件目的虛構一個「XYZ」組織。
  • 員工約120人。
  • 業務涉及開發、貿易、技術協助和生產,以混合粉末和液體為下列產品:
    • 材料表面處理用化學產品;
    • 水處理用化學產品;
    • 機械加工用潤滑劑;
    • 化學助劑;
    • 航空航天工業臨時保護膜和粘合劑系統。
  • 屬於營利性企業。
  • 需要考慮適用之法規環境,例如:歐盟、加拿大和哥倫比亞,主題包括:處置要求、化學廢棄物要求、運輸要求、安全要求等。
  • 地理分布位置,分布在兩個工廠:加拿大的多倫多市,哥倫比亞的波哥大市,和位於比利時布魯塞爾市的總公司。
  • 組織自1998年起獲得ISO 9001驗證。
  • 獲得ISO 9001驗證之後,陸續添加顧客要求,須配合各項環境管理系統及健康和安全事項,係為分別的管理系統。
2017年底,品質經理認知經由ISO 31000整合組織內已妥善建立之品質管理系統而合併多項管理系統的可能性。

品質經理瞭解上述事項並和執行長討論後,獲得其原則同意,隨即安排兩者參加三場相關工作坊,由三個不同產業的組織介紹導入ISO 31000的自身經驗,包括由2009第一版轉換到2018第二版的經驗。品質經理與執行長由工作坊認識到實施風險管理架構支援既有管理系統的價值所在,決定開始推動。

該風險管理方式須整合到既有之ISO 9001管理系統。執行長與董事會主席指派責任與權力給品質管理經理,由其安排詳細專案說明,依照ISO 31000風險管理方式的預期做法和指示。另且指示所有過程擁有者積極配合品質管理安排的任務,準備及實施上述專案。

前述預期做法和指示因而添加至整合的政策,舉例如下:
  • 風險是企業伴隨且無從避免的要素,每項活動幫助組織追求目標時亦帶給組織風險;
  • 吾人誓言以主動和有效果方式管理所有風險;
  • 管理階層、治理單位和營運單位在企業所有面向的適宜階層皆運用風險評鑑;
  • 吾人促成認知風險文化於所有做出決策時,從而培育基於風險的認知思維,目的在利用機會優勢及防範未預期結果;
  • 基於風險的思維係指此種意識到風險的文化,此文化須為組織知識的一個基本組成部分,且在我們組織的所有各層級皆得以確立;
  • 組織中的任何人都有責任在各自的職權範圍內管理風險,并在指定的权限、责任和责任範围内管理风险;
  • 客戶愈來愈期望組織在倫理上有所作為,且適用於組織過程的所有面向,會既直接亦間接地貢獻價值;
  • 對風險管理的承諾擴展到組織的所有供應商;
組織的風險標準(既要評估風險的重要性,又要在處理方案中選擇)乃基於組織倫理準則,特別是基於可持續性三大支柱(環境、社會、經濟)的正確平衡:成本和效益都要從可持續性的角度加以評估;

組織亦將應用風險管理於管制任何類型的法律風險,幫助組織履行所有合規義務。

B.3 應用風險管理(由ISO 31000)於現有的品質管理系統(QMS)

品質管理認識到現有的品質管理系統欲應用風險管理事項,則在某種程度上涉及所有條款。

首先,該項目的基礎是考慮到風險管理架構的組成部分須納入組織的整體策略和企業政策及做法。意即第一個步驟是審查品質管理系統的每一個要素,以查明和評估現有風險管理做法的任何差距。 第二個步驟是通過將風險管理架構的各組成部分納入品質管理系統相互關聯和相互作用的要素,包括組織架構、角色及負責事項、規劃與過程以達到組織目標;從而填補相關空白位置。

除了ISO 9001中明確提到風險(與機會和威脅相關)的條款外,幾乎所有條款和相關要求都直接或間接隱含提及風險和風險管理。

以下為組織考慮事項參考:

第6節規劃:此節為風險管理的關鍵,因為它是不確定性對目標的影響之內在概念。

第4.1節了解組織與前後環節:旨在建立管理系統進展和風險管理架構與進展基礎。有關利益相關者的決定、需求和期望係建立管理系統及程序、以及確定風險準則的基礎。溝通相關要求見ISO 31000補充關於溝通和諮商的建議。

第7.5節文件化資訊:除ISO 9001標準中明確提到的文件,即組織決定的所有文件化資訊,該專案指出資訊對品質管理系統的有效性確屬必要,除了標準要求的文件外,亦須運用風險管理確定何等文件化的詳細程度。除考慮組織規模、活動類型、過程複雜性、各要素之間的相互作用和人員能力之外,每個過程可能要問兩個基本問題:

缺乏有憑有據的文件化資訊,即程序、作業指導書、紀錄或缺乏細節的紀錄,將產生何種負面衝擊?

啟用新的程序、作業指導書、註冊或改進現有程序的詳細程度將產生何種正向衝擊?

務須牢記,文件太大或比必要內容更為詳細,將可能被完全忽略。

管理階層決定管理系統所需的過程及整個組織內皆須應用之,無論此等過程是在內部執行還是委外。每個過程(內部或外部)都有很大的不確定性,該專案指出有必要鑑別下列事項:
  • 將輸入轉換為輸出的活動;
  • 預期的結果
  • 潛在影響(正向或負面)於後續過程及最終產品;
  • 管制、監督及量測活動須儘可能促成最大化正向衝擊,意即擷取改進機會,並最小化負面衝擊,意即避開不期待事件、不符合等。
  • 文件化資訊,即程序、作業指導書、規格等,包括指出風險,以確保品質管理系統程序可以達到預期結果、強化效果、防範或減少非預期影響,及達成改進。
風險管理和做出決策之間關係密切,在ISO 31000的許多節次中皆明確表述和確認之。因此,應用風險管理,暫且不計其他各項,能夠實現品質管理原則之一:基於證據做出決策。

第7.1, 7.2, 7.3節支援:雖然此等節次未明確參考風險管理,惟受其發光而提供資源(人員、基礎架構及工作環境)如促成擷取機會且避免非預期事件,追求主要目標,滿足愈來愈多的顧客,及其他相關的利益相關者。人員必須具備必要專業能力和資源以維持工作範圍內的該等風險在其控制之下。所有人員皆已瞭解其所面對的各式各樣風險,及個人貢獻為達到組織目標。

第7.1.5, 9.1節監督及量測資源:按照標準要求建立度量衡特徵和校正間隔等,且考慮所有相關風險,以前的監督及量測活動,並考慮不僅只是威脅與危險,亦須考慮值得擷取的機會。此等考慮重要的是否採用(或不採用)某些量測、容許誤差值、可接受量測不確定、前後二次校正期間儀器漂移的可能性、及紀錄的詳細程度。所有面向皆從風險評鑑和成本—利益分析所投射的光環考量之。

第8節營運:係屬關鍵節並嚴格運用風險管理於實施ISO 9001全部要求事項,舉凡決定產品與服務的要求事項,顧客關係、設計與開發產品與服務皆受到相關機會與威脅考量的影響。

供應鏈相關的風險是經常委外的公司之關鍵面向,凡是委外的過程、產品與服務之要求事項皆須考慮風險管理為關鍵活動。對外部供應商及委外過程、產品與服務之管制種類與範圍必須基於後續的生產及服務提供事項的影響。

為建立生產及服務要求的管制狀況及相關面向,如:鑑別追溯性、保存或變更管制過程,應用風險管理過程係甚為重要。

績效評估與改進強調記取ISO 31000第6.6節「監督與審查」活動,加上架構中評估與改進(第5.6, 5.7節)面向。

專案亦考慮以下事項:
  • 相關品質之風險將影響下列區域(非完整列出):
  • 產品、服務與營運之合規義務;
  • 競爭行為與競爭者們;
  • 產品與服務的成功、顧客與其他利益相關者的滿意情形;
  • 產品、服務與過程的永續性;
  • 組織永續成功、形相及信譽。
上述目標相關於品質之風險可能受到不確定性影響,可能有如下幾種:
  • 產品創新和技術變革;
  • 供應鏈內的變化;
  • 合規性義務;
  • 利益相關者的觀點之於倫理、原則、價值及期待;
  • 資訊保全;
  • 基礎結構的可靠性。
B.4 整合其他管理系統標準

實施ISO 31000原則、架構及過程突顯各行其是不足為取,改為更寬廣、整合型及調諧的方式管理組織和風險。執行長與董事會認知到是時候跟上企業風險管理哲學,將各式各樣風險融匯一爐,整合地及協同一致地管理之。

風險經常涉及不只一種領域,而是橫亙多方。某些特殊情況,某個領域的機會(如:品質)可能是另一個領域的風險(如:環境管理或職業安全衛生),反之亦然。此理亦說明為何宜於整合協調方式管理多領域及相關風險,配上各領域的專業能力支援。

此種整合方式亦提醒組織當處理風險時可能生出新的或修改既有風險。

若是按嚴格方式評鑑風險,無論究竟屬於何種性質的風險,凡影響策略與潛在營運目標者皆是。如此一來,組織得以鑑別與針對不僅是威脅,亦包括機會皆可深入探討,從而獲得比較優勢。此亦高階管理架構與管理系統標準的哲學。

此外,整合風險管理架構到品質管理系統所有要素,如前述,皆有大用,亦在其它管理系統領域用得到風險管理,如:環境、職業安全衛生、資訊保全。

加之其它管理系統標準,如:ISO 14001, ISO/IEC 27001, ISO 45001,皆帶有風險評鑑及風險處理的要求事項。當組織面對發生的狀況時,顯然會更專注管制潛在威脅而可能忽略機會。

上述全部考量得出以下決策:
  • 建立單一「整合式管理系統」涵蓋調和型及協調式途徑之三個領域:
  • 2019年上半年度達成ISO 45001首次驗證
  • 指派品質經理職權協調「整合式管理系統」的建立、實施、維持及持續改進,包括帶有風險管理架構與過程;品質經理亦負責支援全組織關於參考風險管理。
  • 組織內所有過程擁有者亦為風險擁有者,如:承擔所負責區域的管理風險當責與權責,及提供特定紀律相關知識與技能以支援品質經理。

組織亦須考慮下列共通接受的概念:
  • 環境相關風險與職業安全衛生相關風險,係為須分別在環境和職業安全衛生事件中受到影響或須受到關切的風險
  • 環境相關風險係由周圍可能性的環境面向引起環境衝擊的風險
  • 職業安全衛生相關風險係指勞工安全衛生遭受的風險,主要由於勞工相關危害事件或爆炸引起傷害(人們健康受傷或損傷)所致。
營運管制的設計機制在環境與安全衛生面向往往伴隨著不確定性;總有某些可能性是管制或機制失誤或失效導致負面衝擊或非預期影響。

環境相關風險與職業安全衛生相關風險亦為組織風險的一個類別,緣自環境相關與職業安全衛生相關狀況或狀態的不確定性,導致無論是負面或利益面的一或多項後果。此等風險宜考慮(非完整列表):
  • 合規義務、產品責任、訴訟成本及受到傷害相關成本;
  • 勞工福祉、績效或營運活動;
  • 開發及營運活動許可
  • 組織形象與信譽,及對組織業務的信心;
  • 競爭行為與競爭者們;
  • 天氣變異性及氣候改變;
  • 天然事件破壞可能包括負面環境衝擊;
  • 業務連續性。
B.5 整合資訊保全管理系統標準(ISO/IEC 27001)

組織對全球化和數位化轉型帶來的挑戰並非不敏感,全球化和數位化轉型推動企業利用新市場和新通訊技術提供的商機。宜意識到利用新機會有關的變化可能對管理系統內處理的幾乎所有領域構成其他威脅和其他機會。認知到與資訊保全有關的風險影響到組織前後環節,是尋找機會改善資訊保全的原因。

風險管理過程的結構和系統應用促使組織應用工業4.0和物聯網(IoT)以及數位創新計劃。

此方面的考慮包括感測器和技術(大數據分析、人工智慧以及雲端,若適用時,和全球定位系統)的實施、更換或重新配置,以便監督和控制下列事項:
  • 生產過程,旨在增進效率、平衡物料及半成品流動、及效果(最終產品折損率);
  • 產品生命週期,旨在促成改進供應鏈管理(包括風險管理);
  • 生產的基礎架構,旨在使預測性維護過程能夠部分或全部替換傳統維護過程。
  • 職業安全衛生器材和基礎架構與個人保護裝置(可穿戴型),為能執行實時監督和控制,以改進工作條件和個人福祉。
  • 環境面向。
考慮到導入新通訊技術會引起需要管理新技術相關風險。須做出決策是否同時實施ISO/IEC 27001。組織最高管理階層可由下列說明得到指引:
  • 在資訊保全管理系統中,資訊保全風險可表示為對資訊保全目標的不確定影響;
  • 資訊保全風險係關聯到威脅會利用到不同脆弱型的潛在性而對組織造成傷害
資訊保全目標涉及創新的主要衝擊於下列區域:
  • 組織治理的效果,基於DIKW金字塔型,即資料、資訊、知識、智慧與上述各項的應用、服務及處理以上各項的系統。
  • 確保組織的資訊對付威脅(故障與/或網際攻擊)已受到持續的適宜保護。
  • 形象與信譽關係到組織能力足以保護個人資料、顧客資料及技術訣竅、及自己的資料
保存資訊的品質關係到下列資訊保全要求:
  • 機密性(未向未經授權的個人、實體或過程提供或披露資訊的性質)
  • 完整性(準確與完整資訊的性質)
  • 有用性(根據授權實體的要求可訪問和使用資訊的性質)
  • 業務連續性
  • 資訊保全對組織營運中其他領域的目標也有一些重要和間接的衝擊。
當組織決定追求因新資通訊技術帶來的機會時,潛在預期利益來自下列事項:
  • 環境保護
  • 防範工作相關傷害與健康疾病
  • 改進生產力與提供的產品和服務的品質
  • 由三個基線(人、行星、利潤)增強組織績效。
新資通訊技術帶來的所有機會亦帶出若干重大威脅,加上硬體與軟體的脆弱性,因而有可能增長新資通訊技術的風險。因此組織須鑑別是否需要建立、改進、維持及持續改進資訊保全管理系統,參照ISO/IEC 27001要求事項。

B.6 小結

應用風險管理於管理系統,且使用多個管理系統標準的要求,遵循ISO 31000指引,須為組織核心專注。

實施該專案係經證明為贏家選擇。

該專案施行乃基於整合概念,將若干不同產業整合在一個管理系統。由此設立案例採用全局觀念方式,利用綜效優點,以ISO 31000提供整合過程指引,及各種管理系統標準之要求事項,即ISO 9001, ISO 14001, ISO/IEC 27001 及ISO 45001。

須採取系統的、廣泛的及相關方式管理全部相關的利益相關者的所有風險、涉及的機會及保護價值。

附錄C:工作坊參與者
(參見英文原版內容)

參考標準
  • ISO 9001:2015,品質管理系統 — 要求
  • ISO 14001,環境管理系統 - 要求和使用指南
  • ISO/IEC 27001,資訊科技 — 安全科技 — 資訊安全管理系統 — 要求
  • ISO 45001,職業健康與安全管理系統 - 要求和使用指南
  • ISO國際標準化組織。管理系統標準的綜合使用 (IUMSS),2018 年。

© All Rights reserved. 版權聲明

詳細內容參見原資料內容 。


2024年5月30日 星期四

風險管理原則與指導(ISO 31000)的實施指引 (六之六)

ISO/TR 31004:2013
風險管理—ISO 31000風險管理原則與指導的實施指引 (續,見前篇


附錄E 管理系統整合風險管理

E.1. 概述


風險管理是整合在組織管理系統的一部分。ISO 31000 建議組織發展、實施並不斷改進一個架構,目的是將風險管理納入組織的管理系統(包括治理和策略)。具體而言,整合須確保有關風險的資訊被用作組織各級決策的基礎。作為決策方式的一部分,人員和組織每天都在管理風險。在決定做某事之前,風險管理已經自然地融入到所有人所做的事情裡。某些公司在該方面比另一些公司更擅長此道,但所有該等做為都能提高風險管理和決策的品質,從而改進目標的實現和提高信心。如果整合風險管理之目的是增加價值,那麼從邏輯上講,便意味著採取一些途徑以影響已經在做的事情,從而加強和改進之,而非以不同的東西取而代之。亦不能表示將不同的東西添加到已經發生的做出決策的本有功能中。

整合不僅涉及將既定和標準化的風險管理工具和過程引入現有管理系統,尚須調整和修改該等工具和過程,以適合決策者及其現有做出決策過程的需要。

該附件提供一些實際的例子,說明如何將風險管理納入現有的管理系統。

E.2 何謂管理系統?


所有組織都使用某種管理系統。近年來已建立由多種要求事項構成的正式管理系統,為組織建立指引和管制其活動的管理做法和程序提供架構。許多國際標準涉及一般管理系統或具體內容。

管理系統是組織建立政策和目標的一組相互關聯或相互作用的要素,以及實現該等目標的過程。從企業管理的角度來看,通過建立一個整合性管理系統以獲取效率。

例如,ISO 9001 中強調的品質管理具有針對客戶滿意的廣泛方法,而風險管理則處理不確定性對目標的影響,該等目標不僅只與客戶相關,亦可能與多種其他利益相關者相關。許多組織已經根據ISO 9001的要求實施品質管理系統,風險管理可以整合到該等管理系統中,從而產生綜效且避免重複。

E.3 管理系統整合風險管理


除了將風險管理與核心企業過程整合之外,尚須在所有管理系統方式間建立互動,例如品質管理、環境管理、安全管理、保全管理、合規、財務和通報管理,甚至需要與保險管理部門進行互動,以處理可能通過財務方式轉移到其他組織的事件。

該等單獨的管理系統宜根據各該組織的政策和策略,形成一個整合型管理系統。即使組織有單獨的管理系統管理特定風險,該等系統也須擴展並納入風險管理架構。

例如以跨組織的風險管理方式可以如下所示:
  1. 增加高層管理人員對組織策略目標的關注:
  2. 使整合管理系統中的所有風險都能夠按照 ISO 31000 的原則和指引進行處理。
此等方式可牽涉下列事項:
  • 主要涉及產品和專案風險管理的風險管理技術,在品質管理系統中的應用;
  • 處理環境管理中的不確定性,例如:危險場所的不良事件和潛在意外、危險物質和物料的處置
  • 風險處理結合營運工作安全等;
  • 處理保全風險,例如:針對組織或其員工或客戶的暴力行為;
  • 處理資訊技術 (IT) 安全風險,例如 :資訊技術(IT)營運中斷、資料丟失、保密事項不當洩露和確保企業連續性;
  • 管理企業連續性風險,確保對破壞性事件做好準備和快速回應;
  • 建立管制,以保護組織的資產,確保正確的通報,確保符合法律要求,或以儘量減少保費的方式管理訴諸保險的風險。

E.4 於品質管理系統架構內實施風險管理

D.4.1 概述

風險管理過程須納入組織的做出決策過程,不論何等層級和職能做出該等決策。

D.4.2 識別和知曉做出決策

以下方法有助於根據「計畫-執行-檢查-行動」週期,識別何時何地做出決策。
  • 確定組織內部已經存在的所有形式的正式做出決策做法。在大型組織中,可能具備許多程序以供正式批准一系列的決定,例如:批准年度策略計畫、資本支出、雇用新工作人員、修改過程管制、工作人員旅行。
  • 使用流程圖或其他技術繪製既適用於特定專案又適合企業各面向的主要決策實踐和序列。可以在部門或職能基礎上考慮,並擴展到治理和管理做出決策。如果有些活動是通過應用正式的管理系統(例如:應用ISO 9001 的品質管理)加以管理,則此類系統中的決策點宜成為此項分析的一部分。同樣地,如果組織有任何形式的授權做出決策權,則此類代表性群組須納入分析。最終結果當屬於連貫和有憑有據的圖形,說明在何處做出決策,由誰做出該等決策,以及適用於該等決策的現有程序。
以上技術的組合係足以產生高協調程度的組織認知和個人做出決策之認知。

E.4.3 風險評鑑


某些類型的決策(例如:開發和實現新產品或規劃和實施重大專案)中,在專案的不同階段納入正式的風險評鑑宜屬適當。例如:大多數專案都有多個決策點,即可行性、企業案例、詳細的預算編製和規劃、實施和交付。在每一個決策點,宜於帶出一個適當形式的風險評鑑,以決定由各個選項中擇優採納。從而增加專案成功的可能性,亦提高效率。

對於營運決策的風險評鑑,可以開發簡單的標準化風險管理過程形式,供相關工作成員使用。此種方法特別適合人們在沒有直接監督的情況下工作。該等方法的關鍵要素之一是提高對輸入決策之假設的認知。根據定義,假設是不確定性的來源。

此種標準化過程可以具體到所涉及的做出決策類型、執行特定任務的特定群體、及發生的典型前後環節。簡單的系統可以編輯在口袋型清單說明卡上,所有參與此類工作的人皆可隨身攜帶。

E.4.4 風險管理架構的衍裕


實施本節描述的技術需適當規定或調整風險管理架構,例如:
  • 增補組織的風險管理政策;
  • 安排開展做出決策實踐初步調查;
  • 增補程序手冊;
  • 管理人員和工作人員的訓練;
  • 對按照特定管理系統開展工作的人員進行具體訓練(例如:與特定風險類型的管理有關的訓練);
  • 調整組織保證系統和風險管理資訊能力;
  • 有效果的內部溝通和協商。
註1:此份文件引用ISO 31000時皆為2009年版本(第一版)。
註2:ISO 31000:2018(第二版)已出版。中文翻譯內容參見CNS 31000:2021。
註3:ISO/TR 31004:2013已由ISO/TC 262撤銷。
註4:另參考ISO/TC 262出版的指引IWA 31:2020,(另文介紹)。
註5:此文係參考網路公開提供閱讀或擷取資料,未涵蓋該等資料全部事項,相關內容務須參閱各項資料、文獻最新版次。此處係閱讀隨筆,僅供個人學習,非供印刷或潛在意圖出版。引用時請予註明。

© All Rights reserved. 版權聲明


詳細內容參見原資料內容 。
本篇竟

2024年5月28日 星期二

風險管理原則與指導(ISO 31000)的實施指引 (五之六)

ISO/TR 31004:2013
風險管理—ISO 31000風險管理原則與指導的實施指引 (續,見前篇

附錄D:監督與審查

D.1 背景

D.1.1概述


此附件就根據ISO 31000第4.5節、第4.6節和第5.6節,對風險管理架構和過程的監督和審查提供建議。

監督和審查是兩個獨特的活動,旨在確定假設和決策是否仍然有效。該等技術既用於維護有效的風險管理架構,也用於風險管理過程的每一個步驟。
  • 監督涉及對實際績效的例行監督,以及與預期或要求之績效的比較。其中涉及持續檢查或調查、督導、嚴謹觀察或決定狀態,以便從所要求或預期的績效水準中識別變化,以及前後關係的變化。
  • 審查涉及定期或即興檢查當前情況、環境變化、產業實務或組織實務。此項活動旨在決定實現既定目標的架構和過程的適當性、充分性和有效性。審查須考慮監督活動的產出。
  • 稽核是一個基於證據、系統性審查的過程,係基於預先確定的準則。雖然每次稽核都是審查,但並不是每個審查都是稽核。
監督和審查共同保證風險管理的績效,得如預期,是否得到改進,以及是否發生某些改變,或是需要調整或修訂架構或過程。

監督和審查旨在提供合理保證,確保風險得到充分管理,查明風險管理方面的缺陷,並鑑別改進風險管理的機會。兩者皆為必要事項以確保組織根據其風險態度,保持對其風險準則的當前理解。兩者都需要一個系統方式,為組織總體管理系統的組成部分。

監督和審查活動以及針對調查結果採取的措施,往往帶有某種保證系統的特徵,因並有可能在不利影響發生之前發現和補救弱點,或使人們相信風險仍在組織的準則之內。該等活動亦可用於為內部和外部利益相關者提供合理保證,確保風險得到有效管理。

隨著內外部前後環節因素改變,風險也會發生變化。同樣,對外部前後環節的監督可以提醒組織注意可能為改進績效或開展新活動提供機會的變化。通過對此類變化、績效、不符合和幾乎倖免保持警惕,組織能夠鑑別組織風險管理架構和整體績效的改進機會。

須制定一個全面性方案,監督和記錄與組織績效指標一致的風險績效指標。

該方案須對不利趨勢發出預警,從而可能需要採取預防措施和干預。

單一的監督或審查活動可能指往個別風險或若干相關風險。可能側重於風險或處理該等風險的管制做法。

D.1.2 監督和審查的當責


監督和審查活動的整體責任在於視察機構和最高管理階層,而不是提供保證者,如:內部稽核。品質保證功能、獨立審查功能和法規監督,是直線管理報告過程中有用的輔助功能,因為該等活動提供另一種觀點。

監督和審查活動可以考慮科層式,通常係在最高階層運作;如果設計得當,此階層係提供最有力的保證。然而,監督和審查方案應包括前述所有三個要素。

監督和審查方案須核實風險管理政策是否得到執行和有效果。最高管理階層對監督方案結果的反應方式可能會影響員工的行為,最高管理階層必須發揮榜樣效用。

D.1.3 獨立審查


無論是由內部還是外部參與者執行,獨立性都來自審查者/稽核員和參與者之間的關係。

獨立性是審查結論的公正性和客觀性的基礎。在可行的情況下,審查者和稽核員須獨立於所審查/稽核的活動,並在任何情況下都以未受偏見和利益衝突的方式行事。

關於內部稽核,稽核員須獨立於受稽核功能的營運經理。審查者和稽核員在整個審查和稽核過程中須保持客觀性,以確保發現事項和結論皆僅以證據為基礎。

關於小型組織,審查者和稽核員可能無法完全獨立於正在審查/稽核的活動,但宜盡一切努力消除偏見和鼓勵客觀性。

審查者和稽核員的獨立性有助於使審查和稽核成為支持風險管理政策和管制的有效和可靠的工具,提供組織可以採取措施以改進其績效的資訊。

此類審查可側重於符合內部或外部標準、程序或法規要求。通常還須考慮管制的適用性、有效性和效率,例如:可能考慮風險管理活動是否展現 ISO 31000 原則中表達的價值。

許多組織具有管理審查和諮詢功能(如:風險管理諮詢、法規符合負責人和品質保證經理),後者負責日常審查:內部稽核通常將其稽核報告給視察機構和最高管理階層。該等審查的目的是向組織視察機構和最高管理階層保證以下事項:
  • 其風險準則與組織目標及營運前後環節一致;
  • 已採用適當和系統化過程以資識別、評鑑和處理風險,並有信心此一過程將繼續運作;
  • 不可接受的風險正在通過適當的風險處理方式加以解決;
  • 視為正在修改其他原先認為不可接受的風險之管制方式既合適又有效;
  • 風險處理計畫取得適當進展。
獨立審查程序的活動不會減輕直線管理階層的監督和審查責任。

D.1.4 獲得合宜資訊


與風險管理的其他方面一樣,監督和審查需要使用最佳可用資訊「參見原則 f)」 。為適合此目的,資訊宜與使用者相關,且忠實地代表所宣稱其代表的內容。如果資訊具有可比性、可核查性、及時性和可理解性,則資訊的有用性就得以強化。資訊可以從兩種類型來源獲得:
  1. 直接來源:對實際過程操作或其結果的觀察和測量;
  2. 間接來源:從正在考慮的過程或結果中得出的測量。
出於必要性(取決於可取得性)或方便(及時性、成本等),得選擇各方來源的量測方式加以組合。

D.1.5 報告審查過程


報告須向視察機構、最高管理階層和組織的利益相關者提供資訊,說明該組織的風險是否在其風險準則之內,或者是否有足以信賴的風險處理計畫,得以最後獲得係稱結果。此外,可能提供有關新風險和新浮現風險的資訊。

任何收集到的風險資訊(如:風險登記簿)須定期更新。做出報告的類型和頻率依賴風險評鑑的性質、規模和範圍。

審查或稽核的結果係一份報告,總結評鑑結果,並根據原先確定的準則提供評鑑結論。報告可根據審查員的觀察情況,提供系統改進建議。有時候,審查者會針對準則本身提出更廣泛的建議。因應任何審查須側重於改進系統和解決問題的根本原因。

D.1.6 矯正措施和持續改進

須建立各種程序,確保組織管理階層積極考慮建議,並採取商榷妥當的答覆措施。應對審查採取的措施須向視察機構報告,並定期監督,直至實施為止。

D.2 監督和審查架構

D.2.1 通則


監督和審查的目的是保持風險管理架構的現時性且與組織風險管理意圖一致。該架構是指組織管理系統內能夠管理風險的組成要件和過程。

ISO 31000,第4節陳述關於架構必要組成部分的指引,並指出該等內容須考慮到組織的內部和外部前後環節。

當組織內部或外部前後環節發生變化時,可能需要調整架構,以確保架構維持有效。

即使沒有內部或外部變化需要改變設計,仍然需要確保架構在任何時候皆按照設計運作。對於過渡到與 ISO 31000 調適過的組織,可能涉及檢查實施計畫的架構要件,以確保正確執行。對於已經實施 ISO 31000 的組織,涉及確保架構要件繼續存在並按計畫運作。

D.2.2 當責

管理階層負責確保定期審查和監督該架構的績效指標。身為風險管理分配職責的一部分,須將一個人(如:高階經理)或組織職能(如:公司風險管理支援職能)作為該架構的保管人,關鍵責任是確保架構仍然有效。

D.2.3 建立基準線


應建立組織風險管理的基準線。基準線可以用各種方式描述,但須包括以下事項:

架構的組成部分(如ISO 31000,4.3所述),該等要件提供實現係稱意圖的能力:

視察機構和最高管理階層在風險管理委派成員和承諾方面提供的支援程度(通常以風險管理政策的形式表示)。

架構的預定形式和建構方式一般在設計時予以記錄,並將提供表 D.1 中顯示的資訊。從而構成監督和審查期間比較的基準線或參考點。

表D.1 架構的組成部分列表舉例


組織須建立與組織目標結合的績效指標,以表明管理風險的總體架構的有效性。績效指標(有時統稱為滯後指標)包括:
  • 事件,不良事件及僅以倖免事件
  • 實際損失
  • 未協調一致
  • 客戶訴怨
  • 未實現損失
  • 系統的可獲得性
  • 組織目標的實現程度
  • 風險管理目標的實現程度。

D.2.4 評鑑組織的特徵和前後環節是否改變


確定自風險管理架構開發或修改以來,組織的內部或外部前後環節是否經歷重大改變。

實用協助:
內部特徵可能發生的改變:
  • 結構
  • 治理實務和要求
  • 政策、內部標準及模式
  • 合約要求
  • 策略及營運系統受到內部及外部因素的影響,如:法規要求改變
  • 能力及資源,如:財務及信譽資本、時間、人們、過程、系統和技術
  • 知識、技能及知識產權
  • 資訊系統及流通
  • 社會、環境及文化行為
  • 其他的組織優先事項及規定事項,足以瓜分組織著意在管理風險的心力。
報告和調查中經常發現可能指出外部前後環節改變的領先指標,該等指標反映了組織所在行業的變化和趨勢。範例包括:
  • 商品定價、銀行利率、債券收益率、匯率、股票市場指數、消費者價格指數(趨勢);
  • 指數(趨勢);
  • 類似組織的欺詐或不良事件層級;
  • 市場規模和增長數值,以及訂單量的突然變化;
  • 政治和社會穩定、社會不滿和激進主義。
  • 如果自風險管理架構制訂以來,組織的前後環節發生了變化,則應重新評估和調整風險管理架構,以便考慮該等變化。這項活動的目的是確認架構和程序是適合預期目的,符合組織的目標和優先事項。
由於此種審查,組織可能需要更改其基準線。

例一:組織結構改變可能需要對風險管理政策做出修訂,並重新分配當責和資源,以便繼續有效果地管理風險。如果組織的規模擴大,如:合併或收購,將需要考慮風險管理資源的持續適足性,關於風險管理方法,需要仔細分析組織之間的任何差異。可能需要制定過渡計畫,以實施前面分析產生的任何改變。

例二:如果已經頒佈新的法規要求,則涉及架構的各個當責、訓練和擷取資訊或通報面向,可能需要修改或擴展。

D.2.5 審查架構


一旦完成對特徵和外部前後環節的評估,即須對架構進行更全面的審查,以確定是否:
  • 風險管理計畫係按規畫進行;
  • 所採用的架構和過程係按規畫運作;
  • 風險水準在準則之內;
  • 核心組織目標正受到風險管理的正向影響;
  • 相關利益相關者收到足夠的報告,使他們能夠履行在治理結構中的作用和責任;
  • 組織中各皆有人具備足夠風險管理技能、知識和專業能力履行其已鑑別的責任;
  • 風險管理資源適足;
  • 從實際結果中記取教訓,包括損失、幾乎倖免和機會;
  • 風險管理設定的目標正在實現。
須有議妥的定期審查時程表,以便在情況發生變化時,例如風險的後果突然顯現或甚為嚴重時,能夠為特定目的進行審查。

此類審查的可交付成果應包括以下事項:
  • 風險管理架構績效總體報告;
  • 關於風險管理計畫實務進展情況的報告(包括分析實務中的任何延誤);
  • 概述組織在最佳實務方面的成熟度狀況的報告;
  • 建議進行必要的改變,以改進組織中風險管理和有效性;
  • 必要時更新風險管理政策、目標和計畫;
  • 酌情更新對組織運作前後環節的描述;
  • 關於關鍵風險指標趨勢的報告;
  • 解決實現風險管理目標所需的變革的措施計畫。

D.3 監督和審查該過程

D.3.1 概述


監督和審查風險管理過程目的是確保:
  • 適合企業活動;
  • 按規畫運作。
受到基本管制和處理的風險可能會隨著時間改變,負責風險管理的人需要意識到該等改變的衍裕。處理失敗可能導致不可接受的風險。此外,旨在修改風險的管制可能會在適用性和有效性方面發生變化,因此,除非對風險進行監督和審查,否則風險可能不再處於組織可接受的風險準則內,且組織可能對目前風險未盡瞭解。

監督和審查的結果將回饋到建立前後環節階段,為重新進行風險評鑑的基礎,實現風險管理過程的迭代性和動態性以及風險管理架構設計。

D.3.2 當責


監督須為管理的整體之一部分。風險和管制須配置到負責監督風險的擁有者。此一責任須記錄在角色或職位描述中。

組織須考慮在正式審查雇員時,納入反映主要組織驅動要件範圍的風險管理績效指標,如:以便考慮財務、利益相關者、內部效率以及學習和增長目標。可在組織各層級衡量同一組指標的績效,然後酌情報告。

尚須監督風險處理計畫,以確保取得進展,並按時完成措施。

D.3.3 從經驗中學習


組織須從實際結果中學習。該等事項包括先期查明、發生但尚未採取措施的損失、幾乎倖免、不符合要求和機會。此類審查可能考慮要點包括:
  • 發生何事?
  • 如何及為何產出該等結果?
  • 是否需要根據結果審查任何假設;
  • 已採取什麼措施(如果有的話)作為回應;
  • 該結果再次發生的或然率;
  • 任何其他回應或須採取的步驟;
  • 關鍵學習點和需要將之傳達給何者。

D.3.4 監督

D.3.4.1 典型監督方式如下示:

  1. 風險擁有者可以掃描環境以監督前後環節的變化。此項活動頻率將取決於風險水準及前後環節的動態變化。某些情況,指標的例外報告可能足以啟動之。風險擁有者將相關的外部或內部因素與前後環節陳述進行比較,以決定是否發生重大改變。此處可能涉及定期與利益相關者溝通和協商,以確定各方觀點或目標是否改變。
  2. 風險擁有者須監督風險處理計畫,以及時採取措施並因應環境變化。
  3. 管制擁有者負責分配給他們的監督控制,可能涉及定期檢查或持續監督。由於風險管理與組織的正常決策和管理系統充分整合時最為有效,因此組織績效管理須用於監督風險和風險管理過程的有效性。績效指標宜反映在過程起始階段,定義前後環節決定的關鍵組織目標的範圍。也可能與特定的風險和管制以及風險管理過程的應用相關。
備註:按照風險情況,建議管制權係歸併於負責過程的人,以利其營運。管制擁有者或營運者通常是每天執行管制的人,並且可能是風險擁有者以外的人。此點不會影響風險擁有者對該風險的適當修改,以及相應管制的設計、實施、應用、監督和評估的總體責任。

D.3.4.2 績效指標可以衡量結果(如:具體損失或收益)或過程(如:及時完成風險處理計畫)。通常可使用混合指標,但結果績效指標通常明顯滯後於導致它們的改變。因此,在瞬息萬變的環境中,過程指標(領先指標)可能更有用。

在選擇績效指標時,必須檢查以下事項:
  • 其係可以衡量的
  • 在時間、精力和資源需求方面,其運用方式是有效率的
  • 量測過程或監督以鼓勵或促進預想的正向行為,不鼓勵非預期行為(如:捏造資料):
  • 相關人員瞭解過程和預期效益,並有機會對設定指標提供投入:
  • 結果須予擷取,以績效分析和報告的形式,將促進整個組織的學習和改進。
D.3.4.3 在將績效管理應用於風險管理過程中,須注意以下事項:
  • 有效衡量績效需要資源,資源須予以識別和配疊為發展績效指標的一部分;
  • 某些風險管理活動可能難以衡量,但並不使其不那麼重要,可能需要使用替代型指標,例如:專門用於風險管理活動的資源,可能是承諾有效地風險管理的替代措施;
  • 績效指標衡量資料與本能覺知間的任何差異都很重要,須進行調查,例如:如果管理階層仍然擔心風險沒有得到妥善管理,儘管許多風險評鑑顯示風險水準較低,宜予調查而非排除該等關切;
  • 雖然突然惡化的指標通常引起注意,但逐漸惡化同樣可能存在問題,須監督和分析績效指標的趨勢。

D.3.5 審查


管理階層須定期審查過程、系統和活動,以確保下列事項:
  • 沒有出現新的風險;
  • 管制和風險處理仍然合適和有效。
此類審查進行方式須依循方案(參見方案和基於風險的稽核方法以及如何選擇稽核員,如ISO 19011中陳述者)。

若發現問題,組織須思考問題從何而來,及為何此前未能及早發現。

這些審查可能使用與持續監測相同的技術,但如果這些技術是由不直接參與過程營運的人執行,則可能提供更客觀的分析。審查的頻率可能受到風險程度、企業規劃週期、環境/前後環節動態或負責視察風險和風險管理的治理機構會議的影響。

須確使當責管理階層(風險擁有者)在其例行職位與角色間包括管制功能,配置特定管制的擁有者得以促成管制,但是該等擁有者仍須經過管制的訓練以確保程序得以有效果。
當規劃組織改變或偵測到外部改變時,可能存在以下的改變:
  • 外部或內部環境或利益相關者及其觀點;
  • 風險管理前後環節、組織目標及其風險準則;
  • 風險和風險水準;
  • 需要風險治療;
管制的影響和有效性。因此,組織在制定或修訂業務或策略計畫時,必須審查其風險、風險處理和管制。此外,由於企業和策略計畫可能創建或修訂組織的目標,因此利用風險評鑑過程強調測試計畫草案以確保擬議目標能夠實現,並確定確保成功結果所需的風險處理措施是有價值的。執行風險管理過程的人亦須定期審查其經驗、產出和結果,以確定改進的機會。


註1:此份文件引用ISO 31000時皆為2009年版本(第一版)。
註2:ISO 31000:2018(第二版)已出版。中文翻譯內容參見CNS 31000:2021。
註3:ISO/TR 31004:2013已由ISO/TC 262撤銷。
註4:另參考ISO/TC 262出版的指引IWA 31:2020另文介紹)。
註5:此文係參考網路公開提供閱讀或擷取資料,未涵蓋該等資料全部事項,相關內容務須參閱各項資料、文獻最新版次。此處係閱讀隨筆,僅供個人學習,非供印刷或潛在意圖出版。引用時請予註明。

© All Rights reserved. 版權聲明


詳細內容參見原資料內容 。
(未完,見續篇)